Modul 11 / 12

Security Tools

Hva verktøyene finner, hva de ikke finner, og når de skal brukes. Se også Tools-siden.

Verktøy kompletterer, de erstatter ikke tenking

Automatiserte verktøy er gode på mønstre: kjente CVE-er, manglende headers, farlige funksjonskall. De er dårlige på forretningslogikk: «kan bruker A se bruker Bs faktura?».

Broken access control — den vanligste kritiske feilen — krever nesten alltid manuell testing med flere brukere.

diagram

SAST (Semgrep, CodeQL)   → kildekode, før deploy
SCA  (npm audit, Snyk,   → dependencies
      Dependabot)
DAST (ZAP, Burp)         → kjørende app, lokalt/staging
Manuelt (DevTools, curl) → logikk, tilgang, flyt

Kontroller i din egen app

Minst én SAST, én SCA og én DAST i workflowManuell tilgangstest med to brukere

Quiz

Scenario 1

ZAP-skannet ditt er grønt. Kan du konkludere at IDOR ikke finnes?

Scenario 2

Hvilket verktøy finner mest sannsynlig en hardkodet service_role-nøkkel i repoet?

← Dependency Security OWASP Top 10 →